# PHP2Shell: dos fallas críticas de PHP, un embargo que se filtró y lo que realmente se sabe sobre la explotación

Published: 2026-10-22

PHP envió correcciones de emergencia para dos fallas críticas de ejecución remota de código, CVE-2026-109618 y CVE-2026-109619, llamadas PHP2Shell. La versión se lanzó el 21 de octubre de 2026. El episodio explica los dos errores de memoria en palabras sencillas, por qué una pista de una auditoría de 2024 esperó una solución, cómo se filtró el embargo y qué fuentes dicen qué sobre la explotación. También cubre el lanzamiento del parche crítico el mismo día de GitLab y una orden de multa de $25 mil millones de Meta en Nuevo México.

Canonical: https://thedailydiff.dev/es-US/video/2026-10-22-php2shell/

## Lo que cubre este video

- Ambas fallas están calificadas con 9.2 en CVSS v4.0 por el equipo de PHP. Las versiones corregidas son PHP 8.2.35, 8.3.36, 8.4.27 y 8.5.12; PHP 7.4, 8.0 y 8.1 solo recibieron parches de código fuente. PHP dice que la actualización es la única mitigación completa.
- La primera falla proviene de que PHP deja una solicitud a medio construir cuando se queda sin memoria en el momento equivocado. La segunda proviene de un puntero sobrante a la memoria de una solicitud que una solicitud posterior en el mismo "worker" puede usar. En Apache con mod\_php, la primera ruta se ejecuta antes del código de la aplicación.
- Un desarrollador principal de PHP encontró los primeros signos del problema de memoria durante una auditoría de 2024. La Fundación PHP dice que las soluciones en competencia tenían desventajas y un equipo de seguridad basado en el consenso tuvo dificultades para elegir, lo que denomina un "fallo estructural".
- La Fundación dice que los ID de CVE se filtraron el 20 de octubre, Calif publicó erróneamente un video de prueba de concepto, y Chainguard publicó imágenes compiladas con la corrección más de seis horas antes del lanzamiento. El CEO de Chainguard dice que la gente ya estaba siendo afectada y que encontró los errores de forma independiente.
- Las fuentes difieren sobre la explotación. Amazon registró un intento el 17 de octubre y luego dijo que PHP2Shell fue ampliamente explotado. watchTowr informó de explotación "in the wild". CISA no había observado explotación en el momento de la publicación, y el equipo de PHP no encontró ningún exploit funcional en el lanzamiento. Muchos scripts de prueba de concepto públicos no funcionan.
- Revise todos los lugares donde se ejecuta PHP, incluidas las copias dentro de otro software, actualice, reinicie los "workers" y revise los registros hasta el 17 de octubre.

## Preguntas y respuestas

### ¿Cuáles son las dos vulnerabilidades de PHP2Shell?

PHP2Shell nombra dos fallas críticas de PHP, CVE-2026-109618 y CVE-2026-109619, ambas calificadas con 9.2 por el equipo de PHP. La primera deja una solicitud a medio construir cuando PHP se queda sin memoria en el momento equivocado, y la limpieza luego confía en ella. La segunda deja un puntero a la memoria de una solicitud que una solicitud posterior en el mismo "worker" puede usar. Ambas pueden conducir a la ejecución de código sin iniciar sesión.

### ¿Qué versiones de PHP tienen una corrección para PHP2Shell, y qué hay de las versiones no compatibles?

El proyecto PHP lanzó correcciones en 8.2.35, 8.3.36, 8.4.27 y 8.5.12 el 21 de octubre. Para 7.4, 8.0 y 8.1 solo publicó parches de código fuente, y BleepingComputer informa que las distribuciones y los proveedores de soporte a largo plazo pueden proporcionar correcciones "backported". PHP dice que no hay una solución completa, por lo que actualizar o pedir a un proveedor un paquete parcheado es la única opción segura.

### ¿Por qué un error de memoria conocido de PHP tardó hasta octubre de 2026 en corregirse?

La Fundación PHP dice que un desarrollador principal encontró los primeros signos del problema de memoria durante una auditoría de seguridad de 2024, pero no se conocía ninguna ruta de explotación y cada solución candidata tenía desventajas como roturas de compatibilidad. El equipo de seguridad decide por consenso y tuvo dificultades para elegir, lo que la Fundación llama un "fallo estructural" causado por su proceso de decisión y la falta de recursos.

### ¿Se está explotando PHP2Shell y qué tan fácil es explotarlo?

Las fuentes no están de acuerdo. Amazon registró un intento de explotación el 17 de octubre y luego dijo que PHP2Shell fue ampliamente explotado, y watchTowr informó de explotación "in the wild". CISA no había observado explotación en el momento de la publicación, y el equipo de PHP no vio ningún exploit funcional en el lanzamiento. watchTowr dice que la mayoría de los scripts de explotación públicos fallan o no hacen nada, y VulnCheck descubrió que la ejecución de código funciona solo en algunas configuraciones.

### ¿Cuál fue el veredicto de The Daily Diff sobre PHP2Shell?

El veredicto de The Daily Diff fue SHIP IT: envía la actualización de PHP esta noche, porque la nueva versión es la única corrección completa. CISA dice que se deben inventariar todos los sistemas que ejecutan PHP, incluidas las copias dentro de otro software, aplicar el parche y desconectar los sistemas PHP si no se pueden actualizar. Amazon aconseja revisar los registros hasta el 17 de octubre, cuando vio el primer intento.

## Capítulos

- 0:00 ¿Quién intentó usar PHP2Shell cuatro días antes?
- 0:41 ¿Cuáles son los dos errores de PHP2Shell?
- 1:37 ¿Por qué un error conocido esperó dos años?
- 1:54 ¿Quién encontró PHP2Shell y cómo?
- 2:20 ¿Cómo se filtró el embargo de PHP2Shell?
- 2:50 ¿Se está explotando PHP2Shell y por quién?
- 3:43 ¿Qué gobiernos desconectaron sus sistemas?
- 4:11 ¿Qué versiones de PHP reciben una corrección?
- 4:30 ¿Qué hacer con PHP2Shell esta noche?
- 4:45 ¿Qué más lanzó un parche crítico de RCE hoy?
- 5:01 ¿Por qué se le ordenó a Meta pagar 25 mil millones de dólares?
- 5:18 ¿Cuál es la defensa de Chainguard por la corrección anticipada?
- 5:38 ¿Qué recibe el sello SHIP IT?

## Transcripción traducida

Traducido de la narración original en inglés. El audio y los subtítulos disponibles son controlados por YouTube.

### ¿Quién intentó usar PHP2Shell cuatro días antes?

0:00 Se supone que un embargo de seguridad mantiene un error en secreto hasta que se envía el parche. Amazon registró un intento contra un error crítico de PHP cuatro días antes. En este video, ¿quién lo encontró? ¿Cómo se filtró el embargo? Y, ¿qué tan grave es, en realidad? Y la empresa culpada por la fuga tiene una defensa que no esperaba. Ya llegaré a eso. Es jueves, veintidós de octubre, y este es The Daily Diff.

0:21 PHP es un lenguaje de scripting que construye páginas web en el servidor justo antes de que lleguen a usted. Tiene más de treinta años y, según una estimación, ejecuta alrededor del setenta por ciento de los sitios web, incluido WordPress y el software detrás de Wikipedia. A los desarrolladores les encanta burlarse de él, generalmente desde una página que PHP les está sirviendo. Su mantenimiento es una organización sin fines de lucro con unos trece ingenieros.

### ¿Cuáles son los dos errores de PHP2Shell?

0:41 El miércoles, PHP lanzó correcciones de emergencia para dos fallas críticas que permiten a un extraño ejecutar código en un servidor sin necesidad de iniciar sesión. Juntas se llaman PHP2Shell, y se remontan a PHP cinco punto cuatro. Aquí está el primer error en palabras sencillas. PHP asigna un presupuesto de memoria a cada solicitud. Si una solicitud alcanza ese límite exactamente en el momento equivocado, PHP se interrumpe rápidamente y deja la solicitud a medio construir. Luego, el paso de limpieza confía en el elemento a medio construir.

1:07 El segundo error es un "sobrante". Un error fatal puede dejar una nota que apunta a la memoria que pertenecía a la última solicitud. El mismo "worker" maneja la siguiente solicitud y sigue la nota. Para entonces, alguien más vive en esa dirección. En Apache con mod PHP, el daño ocurre antes de que se ejecute su propio código, por lo que su página de inicio de sesión nunca tiene voz ni voto. Wiz dice que incluso un script de "hola mundo" está expuesto. La corrección elimina la salida de emergencia de PHP por quedarse sin memoria.

1:32 En lugar de abortar a mitad de la solicitud, PHP ahora se detiene educadamente en el siguiente punto seguro. Lo extraño es lo antigua que es la primera pista.

### ¿Por qué un error conocido esperó dos años?

1:39 En 2024, una auditoría de seguridad externa llevó a un desarrollador principal de PHP a los primeros signos del problema de memoria. No se conocía ningún exploit, y cada corrección rompía algo. Un equipo que decide por consenso no pudo elegir, por lo que el error esperó. Luego, en agosto, los descubridores llegaron en cuestión de días.

### ¿Quién encontró PHP2Shell y cómo?

1:56 El investigador de Calif, Ryan Austin, lo encontró el primero de agosto, trabajando a través del programa Patch the Planet de OpenAI. OpenAI reportó la misma causa raíz de forma independiente. Wiz encontró variantes unas semanas después con modelos Gemini y GPT. Austin dice que usó modelos que cualquiera puede obtener, además de una teoría sobre dónde se esconden los viejos errores de PHP. OpenAI dice que la IA de vanguardia fue la clave. El error se había ocultado durante más de una década. El lanzamiento estaba previsto para el jueves.

### ¿Cómo se filtró el embargo de PHP2Shell?

2:21 El martes, los dos números CVE comenzaron a circular en línea, con un horario de lanzamiento incorrecto y una puntuación incorrecta de diez. PHP adelantó el lanzamiento un día. Esa noche, Calif publicó accidentalmente un video de su prueba de concepto funcionando, y las copias sobrevivieron a la eliminación. El miércoles por la mañana, más de seis horas antes del lanzamiento, Chainguard publicó imágenes compiladas que contenían la corrección. PHP dice que cualquier atacante podría estudiar esa corrección mientras todos los demás esperaban.

2:46 Un parche también es un "diff", y los atacantes leen los "diffs".

### ¿Se está explotando PHP2Shell y por quién?

2:50 Entonces, ¿quién está siendo realmente afectado? La "honeypot" de Amazon registró un intento el diecisiete de octubre y luego dijo que PHP2Shell está siendo ampliamente explotado. watchTowr informa de explotación "in the wild". Cisa dijo que no había observado ninguna cuando publicó, y el equipo de PHP no vio ningún exploit funcionando en el lanzamiento. El CEO de Cloudflare dijo que vio miles de intentos en las diez horas anteriores al anuncio, y millones para el jueves por la mañana.

3:13 Amazon es cuidadoso en un punto. No sabe si sus primeros intentos habrían funcionado en un sistema real. Un intento es solo un golpe en la puerta. Entonces, ¿qué tan grave es, en realidad? watchTowr dice que los exploits públicos que circulan en su mayoría fallan o no hacen nada. VulnCheck dice que la ejecución de código funciona en algunas configuraciones, y ninguna de las públicas supera la aleatorización de memoria en servidores x86 estándar. El investigador Elias Taylor dice que no es ni de lejos tan fácil como Log4Shell.

3:40 Todos siguen diciendo que hay que aplicar el parche. Los gobiernos no esperaron el veredicto.

### ¿Qué gobiernos desconectaron sus sistemas?

3:44 La NSA dijo a las organizaciones que no podían aplicar el parche que desconectaran los sistemas PHP, y el Centro Nacional de Ciberseguridad del Reino Unido dio un consejo similar. Sitios holandeses, incluido el servicio nacional de identidad digital, se desconectaron, junto con un sitio de la policía de París. Wikimedia desconectó varios sistemas como precaución. Palo Alto Networks contó más de veintidós millones de instancias expuestas. Y un profesor australiano hizo la observación más aguda. Los sitios de los que preocuparse son los que no están caídos hoy.

### ¿Qué versiones de PHP reciben una corrección?

4:11 Existen correcciones para PHP ocho punto dos a ocho punto cinco. Para siete punto cuatro, ocho punto cero y ocho punto uno, PHP publicó solo parches de código fuente. Las versiones anteriores no reciben nada del proyecto PHP, así que pregunte a su distribución. Las soluciones alternativas reducen las probabilidades, pero PHP dice que la actualización es la única solución completa. Es la misma lección del episodio de eMudhra de ayer,

### ¿Qué hacer con PHP2Shell esta noche?

4:32 porque que exista una corrección no es lo mismo que el proceso en ejecución la tenga. Encuentre cada PHP en su pila, incluso las copias que se esconden dentro de otro software. Actualice, reinicie los "workers" y revise los registros hasta el diecisiete de octubre. El mismo día, GitLab lanzó una versión de parche crítica,

### ¿Qué más lanzó un parche crítico de RCE hoy?

4:47 diecinueve punto cinco punto uno. Un desbordamiento de enteros en su compilador de expresiones regulares permite que un usuario no autenticado ejecute código en el servidor, y tiene una puntuación de diez sobre diez. GitLab.com ya está parcheado. Las instalaciones autogestionadas necesitan la actualización.

### ¿Por qué se le ordenó a Meta pagar 25 mil millones de dólares?

5:01 Mientras tanto, en Nuevo México, un juez ordenó a Meta pagar veinticinco mil millones de dólares en multas por Cambridge Analytica. El jurado contó más de cuarenta y tres millones de violaciones a un máximo de cinco mil dólares cada una, lo que ascendía a unos doscientos veinte mil millones antes de que el juez lo redujera. Meta dice que ganará en la apelación. Ahora la defensa que prometí.

### ¿Cuál es la defensa de Chainguard por la corrección anticipada?

5:19 El CEO de Chainguard le dijo a The Register que encontró los mismos errores él mismo un viernes por la noche, después de enterarse de que algo venía en PHP, con una indicación básica para encontrar vulnerabilidades malas. Dice que lo envió temprano porque la gente ya estaba siendo afectada. Si prefiere leer esto en lugar de oírme decirlo, el "diff" llega a su bandeja de entrada todas las mañanas, gratis en thedailydiff.dev, enlace abajo. Así que el veredicto de hoy es SHIP IT.

### ¿Qué recibe el sello SHIP IT?

5:39 Envía la actualización de PHP esta noche, porque el nuevo número de versión es la única solución completa. Y eso es The Daily Diff por hoy. Soy Niko de Axrisi. Fusionen con responsabilidad.

## Fuentes

- [Today's PHP Security Release, and How We're Strengthening PHP Security](https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/) — The PHP Foundation
- [RCE via OOM corruption (GHSA-w8hw-w9fx-j79w)](https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w) — PHP security advisory
- [RCE via stale global state (GHSA-6wmf-4rv5-p3rp)](https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp) — PHP security advisory
- [Upcoming Critical PHP Security Release](https://www.php.net/archive/2026.php) — php.net
- [php2shell](https://calif.io/php2shell/) — Calif
- [PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet](https://www.wiz.io/blog/php2shell-php-rce) — Wiz Research
- [Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot](https://aws.amazon.com/blogs/security/amazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot/) — AWS Security Blog
- [Critical Vulnerabilities in PHP Require Immediate Patching](https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching) — CISA
- [Flaw in PHP computer language leads to shutdown of websites around world](https://www.theguardian.com/technology/2026/oct/21/flaw-in-php-computer-language-leads-to-shutdown-of-websites-around-world) — The Guardian
- [What is PHP, and how bad is the computer language flaw causing website shutdowns globally?](https://www.theguardian.com/technology/2026/oct/22/what-is-php-computer-language-flaw-causing-global-website-shutdowns) — The Guardian
- [PHP2Shell Exploitation Started Days Before Patches](https://www.securityweek.com/php2shell-exploitation-started-days-before-patches/) — SecurityWeek
- [PHP2Shell: Responding to CVE-2026-109618 and CVE-2026-109619](https://www.tanium.com/blog/php2shell-responding-to-cve-2026-109618-and-cve-2026-109619) — Tanium
- [There isn't an easy exploit for this PHP vulnerability](https://eliastaylor.com/noexploit/) — Elias Taylor
- [PHP blames supply chain security biz Chainguard for putting entire web at risk](https://www.theregister.com/security/2026/10/22/php-blames-supply-chain-security-biz-chainguard-for-putting-entire-web-at-risk/5304611) — The Register
- [PHP2Shell: 22M exposed servers at risk as emergency patches released](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released) — TechTarget
- [PHP ships emergency patches for critical PHP2Shell flaws](https://www.bleepingcomputer.com/news/security/php-ships-emergency-patches-for-critical-php2shell-flaws/) — BleepingComputer
- [GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13](https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-5-1-released/) — GitLab
- [Meta ordered to pay $25 billion penalty in New Mexico Cambridge Analytica case](https://www.cnbc.com/2026/10/21/meta-new-mexico-cambridge-analytica-penalty.html) — CNBC
- [Tell HN: 2x PHP RCE CVEs with CVSS 10.0 Incoming](https://news.ycombinator.com/item?id=50167754) — Hacker News